病毒标签：病毒名称： Trojan/Win32.Agent.bqqb[Proxy]
病毒类型： 木马
文件 MD5： 38A7AAA9612401114396F7FF4E78F5C0
公开范围： 完全公开
危害等级： 4
文件长度： 36,864 字节
感染系统： Windows98以上版本
开发工具： Borland Delphi 6.0 - 7.0
加壳类型： UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo [Overlay]
病毒描述：该病毒为代理木马类，病毒运行后，衍生病毒文件到%Windir%目录下，创建注册表病毒服务、通过服务启动病毒文件、衍生的病毒启动之后创建病毒文件"smss.exe"到%Windir%目录下，伪装系统文件，向该病毒写入247296字节数据，动态获取大量API函数地址，判断当前进程是否有病毒smss.exe进程，如有则释放BAT批处理文件删除自身。
smss.exe病毒文件分析：创建互斥量名为"xinduanyou"，确定当前系统版本是否为windows xp，如是则创建病毒驱动设备名"\.myprot"，删除%Windir%目录下的winsys.exe、winsys.inf、%System32%drivers目录下的winyyy.sys病毒文件，并重新衍生这几个病毒文件，释放驱动文件到%System32%drivers目录下，创建注册表病毒服务，添加注册表启动项，开启iexplore.exe进程连接网络读取信息试图下载恶意病毒文件。
清除方案：1、使用安天防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
（1） 使用ATOOL进程管理工具结束
iexploer.exe、winsscoo.exe、smss.exe进程
（2） 强行删除%WINDOWS%Down_Temp目录下所有的病毒文件
%System32%driverswinyyy.sys
%Windir%infoem5.inf
%Windir%infoem5.PNF
%Windir%infINFCACHE.1
%Windir%winsscoo.exe
%Windir%smss.exe
%Windir%LastGoodINFoem5.inf
%Windir%LastGoodINFoem5.PNF
（3） 删除病毒添加的注册表项
HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesWinSSCOM
删除Services键值下的WinSSCOM主键值
HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesMyProt
删除Services键值下的MyProt主键值
HKEY_LOCAL_MACHINESYSTEMControlSet001ControlNetwork{4D36E975-E325-11CE-BFC1-08002BE10318}
删除Network键值下的{4D36E975-E325-11CE-BFC1-08002BE10318}键值
HKEY_LOCAL_MACHINESYSTEMLastKnownGoodRecoveryLastGoodINF/oem5.inf
删除LastGood键值下的oem5.inf、oem5.PNF键值
更多详细内容请参见：http://www.antiyfx.com/article/security/2009-02-23_003.htm
